Неокончателна редакция
ЗАКЛЮЧЕНИЕ НА ГЕНЕРАЛНИЯ АДВОКАТ
A. RANTOS
представено на 25 април 2024 година(1)
Дело C‑446/21
Maximilian Schrems
срещу
Meta Platforms Ireland Limited, по-рано Facebook Ireland Limited
(Преюдициално запитване, отправено от Oberster Gerichtshof (Върховен съд, Австрия)
„Преюдициално запитване — Защита на физическите лица във връзка с обработването на лични данни — Регламент (ЕС) 2016/679 — Социални мрежи — Член 5, параграф 1, буква б) — Принцип на „ограничение на целите“ — Член 5, параграф 1, буква д) — Принцип на „свеждане на данните до минимум“ — Член 9, параграф 1 и параграф 2, буква д) — Обработване на специални категории лични данни — Лични данни, които явно са направени обществено достояние от субекта на данните — Персонализирана реклама — Данни за сексуалната ориентация“
Въведение
1. Настоящото преюдициално запитване е отправено от Oberster Gerichtshof (Върховен съд, Австрия) в рамките на спор между г‑н Maximilian Schrems (наричан по-нататък „ищецът“), ползвател на социалната мрежа „Facebook“, и Meta Platforms Ireland Limited, по-рано Facebook Ireland Limited (наричано по-нататък „Meta Platforms Ireland“ или „ответникът“), във връзка с твърдяното незаконосъобразно обработване от това дружество на неговите лични данни.
2. Поставените по настоящото дело преюдициални въпроси се отнасят, от една страна, до прилагането на принципа на „свеждане на данните до минимум“, предвиден в член 5, параграф 1, буква в) от Регламент (ЕС) 2016/679(2), и от друга страна, до тълкуването на понятието „лични данни, които явно са направени обществено достояние от субекта на данните“, по член 9, параграф 2, буква д) от този регламент във връзка с член 5, параграф 1, буква б) от посочения регламент, с който се въвежда принципът на „ограничение на целите“. По същество запитващата юрисдикция иска да установи, от една страна, дали принципът на свеждане на данните до минимум позволява личните данни да се обработват без ограничение в зависимост от време или вид на данните, и от друга страна, дали думите на лице относно неговата сексуална ориентация в рамките на дискусионна група позволяват обработването на други данни, свързани със сексуалната ориентация на това лице, за целите на персонализираната реклама.
Правна уредба
3. Член 4 от ОРЗД, озаглавен „Определения“, гласи в точка 11:
„За целите на настоящия регламент:
[…]
11) „съгласие на субекта на данните“ означава всяко свободно изразено, конкретно, информирано и недвусмислено указание за волята на субекта на данните, посредством изявление или ясно потвърждаващо действие, което изразява съгласието му свързаните с него лични данни да бъдат обработени“.
4. Член 5 от този регламент, озаглавен „Принципи, свързани с обработването на лични данни“, предвижда в параграфи 1 и 2:
„1. „Личните данни са:
а) обработвани законосъобразно, добросъвестно и по прозрачен начин по отношение на субекта на данните („законосъобразност, добросъвестност и прозрачност“);
б) събирани за конкретни, изрично указани и легитимни цели и не се обработват по-нататък по начин, несъвместим с тези цели; […]
в) подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват („свеждане на данните до минимум“);
[…]
2. Администраторът носи отговорност и е в състояние да докаже спазването на параграф 1 („отчетност“)“.
5. Член 6 от посочения регламент, озаглавен „Законосъобразност на обработването“, предвижда в параграфи 1 и 3:
„1. Обработването е законосъобразно, само ако и доколкото е приложимо поне едно от следните условия:
a) субектът на данните е дал съгласие за обработване на личните му данни за една или повече конкретни цели;
б) обработването е необходимо за изпълнението на договор, по който субектът на данните е страна, или за предприемане на стъпки по искане на субекта на данните преди сключването на договор;
[…]
е) обработването е необходимо за целите на легитимните интереси на администратора или на трета страна, освен когато пред такива интереси преимущество имат интересите или основните права и свободи на субекта на данните, които изискват защита на личните данни, по-специално когато субектът на данните е дете.
Буква е) на първа алинея не се прилага за обработването, което се извършва от публични органи при изпълнението на техните задачи.
[…]
3. Основанието за обработването, посочено в параграф 1, букви в) и д), е установено от:
а) правото на Съюза или
б) правото на държавата членка, което се прилага спрямо администратора.
[…]
[…] Правото на Съюза или правото на държавата членка се съобразява с обществения интерес и е пропорционално на преследваната легитимна цел“.
6. Член 7 от същия регламент, озаглавен „Условия за даване на съгласие“, има следния текст:
„1. Когато обработването се извършва въз основа на съгласие, администраторът трябва да е в състояние да докаже, че субектът на данни е дал съгласие за обработване на личните му данни.
[…]
3. Субектът на данни има правото да оттегли съгласието си по всяко време. Оттеглянето на съгласието не засяга законосъобразността на обработването, основано на дадено съгласие преди неговото оттегляне. Преди да даде съгласие, субектът на данни бива информиран за това. Оттеглянето на съгласие е също толкова лесно, колкото и даването му.
4. Когато се прави оценка дали съгласието е било свободно изразено, се отчита най-вече дали, inter alia, изпълнението на даден договор, включително предоставянето на дадена услуга, е поставено в зависимост от съгласието за обработване на лични данни, което не е необходимо за изпълнението на този договор“.
7. Член 9 от ОРЗД е озаглавен „Обработване на специални категории лични данни“ и параграфи 1 и 2 от него гласят:
„1. Забранява се обработването на лични данни, разкриващи расов или етнически произход, политически възгледи, религиозни или философски убеждения или членство в синдикални организации, както и обработването на генетични данни, биометрични данни за целите единствено на идентифицирането на физическо лице, данни за здравословното състояние или данни за сексуалния живот или сексуалната ориентация на физическото лице.
2. Параграф 1 не се прилага, ако е налице едно от следните условия:
а) субектът на данни е дал своето изрично съгласие за обработването на тези лични данни за една или повече конкретни цели, освен когато в правото на Съюза или правото на държава членка се предвижда, че посочената в параграф 1 забрана не може да бъде отменена от субекта на данни;
б) обработването е необходимо за целите на изпълнението на задълженията и упражняването на специалните права на администратора или на субекта на данните по силата на трудовото право и правото в областта на социалната сигурност и социалната закрила, дотолкова, доколкото това е разрешено от правото на Съюза или правото на държава членка, или съгласно колективна договореност в съответствие с правото на държава членка, в което се предвиждат подходящи гаранции за основните права и интересите на субекта на данните;
[…]
д) обработването е свързано с лични данни, които явно са направени обществено достояние от субекта на данните;
[…]“.
8. Член 13 от този регламент, отнасящ се до „[и]нформация[та], предоставяна при събиране на лични данни от субекта на данните“, предвижда в параграф 1:
„Когато лични данни, свързани с даден субект на данни, се събират от субекта на данните, в момента на получаване на личните данни администраторът предоставя на субекта на данните цялата посочена по-долу информация:
[…]
в) целите на обработването, за което личните данни са предназначени, както и правното основание за обработването;
г) когато обработването се извършва въз основа на член 6, параграф 1, буква е), законните интереси, преследвани от администратора или от трета страна;
[…]“.
Спорът в главното производство, преюдициалните въпроси и производството пред Съда
9. Meta Platforms Ireland, дружество по ирландското право, управлява мрежата за затворена комуникация „Facebook“, която по същество представлява социална онлайн мрежа за споделяне на съдържание(3). В същността си неговият икономически модел се изразява в предлагане на безплатни услуги на социална мрежа на частните му ползватели и в продажба на онлайн реклама, включително на целева реклама към ползвателите(4). Тази реклама се основава главно на автоматизираното изготвяне на сравнително подробни профили на ползвателите на тази социална мрежа(5).
10. През 2018 г., след влизането в сила на ОРЗД, Meta Platforms Ireland представя нови условия за ползване на Facebook на потребителите си в Европейския съюз за получаване на съгласието им, което освен това е необходимо, за да могат да се регистрират или да имат достъп до акаунтите и услугите, предоставяни от Facebook(6). Новите условия за ползване също така дават възможност на ползвателите да се запознаят със съхраняваните данни и да ги контролират(7).
11. Ищецът е потребител на Facebook, който е приел новите условия за ползване, представени от Facebook. Както е видно от акта за преюдициално запитване, той е направил обществено достояние това, че е хомосексуален, но никога не е посочвал своята сексуална ориентация и не е публикувал чувствителни данни в профила си във Facebook(8). Ищецът не е разрешил също така на ответника използването за целева реклама на информация от профила му в областите: статус на връзката, работодател, професия и образование.
12. Ищецът обаче получил реклама на жена политик и тази реклама му е показана въз основа на анализ, че е налице сходство между него и други „клиенти“, които са отбелязали този политик с „Харесвам“; той редовно получавал реклами, насочени към хомосексуални лица, и покани за съответни събития, въпреки че никога преди това не се е интересувал от тези събития и дори не е знаел местата, в които те се провеждат. Тези реклами или тези покани не са били основани директно на сексуалната ориентация на ищеца или неговите „приятели“ в социалната мрежа, а на анализа на техните интереси(9). От друга страна, Meta Platforms Ireland регистрирало всички данни, отнасящи се до ищеца, включително данни, получени посредством трети страни или плъгини, и ги съхранявало за неопределен период от време.
13. При тези обстоятелства ищецът предявява пред Landesgericht für Zivilsachen Wien (Областен съд по граждански дела Виена, Австрия) иск за принудително изпълнение, за установяване и за преустановяване на твърдяното незаконосъобразно обработване на неговите лични данни от Meta Platforms Ireland(10).
14. Впоследствие, по повод на групова дискусия, организирана от представителството на Европейската комисия във Виена (Австрия)(11) и проведена на 12 февруари 2019 г., ищецът посочва сексуалната си ориентация по време на изявление, целящо да оповести твърдяното незаконосъобразно обработване от страна на Meta Platforms Ireland на данни, свързани с тази сексуална ориентация(12).
15. След като искът на ищеца е отхвърлен на първа инстанция с решение от 30 юни 2020 г., а във въззивното производство от Oberlandesgericht Wien (Висш областен съд Виена, Австрия) — с решение от 7 декември 2020 г.(13), той подава ревизионна жалба пред запитващата юрисдикция Oberster Gerichtshof (Върховен съд, Австрия).
16. В този контекст Oberster Gerichtshof (Върховен съд) решава да спре производството и да отправи до Съда четири преюдициални въпроса(14). Тъй като първият и третият преюдициален въпрос са оттеглени след постановяването на решение от 4 юли 2023 г., Meta Platforms и др. (Общи условия за използване на социална мрежа)(15), настоящото дело се отнася до втория и четвъртия въпрос, формулирани, както следва:
„2) Трябва ли член 5, параграф 1, буква в) от ОРЗД (свеждане на данните до минимум) да се тълкува в смисъл, че всички лични данни, с които разполага платформа, като тази в главното производство (по-специално от субекта на данни или от трети страни на и извън платформата), могат да се събират, анализират и обработват за целите на целевата реклама без ограничение в зависимост от време или вид на данните?
4) Трябва ли член 5, параграф 1, буква б) във връзка с член 9, параграф 2, буква д) от ОРЗД да се тълкува в смисъл, че изразяване на собствената сексуална ориентация за целите на дискусионна група позволява обработването на други данни за сексуалната ориентация с оглед на събирането и анализирането на данни за целите на персонализираната реклама?“.
17. Писмени становища представят ищецът, Meta Platforms Ireland, австрийското, френското, италианското и португалското правителство, както и Комисията. В съдебното заседание за изслушване на устните състезания, проведено на 8 февруари 2024 г., устни становища представят ищецът, Meta Platforms Ireland, австрийското правителство и Комисията.
Анализ
По втория преюдициален въпрос
18. С втория си преюдициален въпрос запитващата юрисдикция по същество иска да се установи дали член 5, параграф 1, буква в) от ОРЗД, в който е закрепен принципът на свеждане на данните до минимум, трябва да се тълкува в смисъл, че всички лични данни, с които разполага мрежа като Facebook, по-специално посредством субекта на данни или трети страни на и извън тази платформа, могат да се събират, анализират и обработват за целите на целевата реклама без ограничение в зависимост от време или вид на данните.
19. В самото начало е важно да се припомни, че всяко обработване на лични данни трябва, от една страна, да съответства на принципите относно обработването на данни, прогласени в член 5 от ОРЗД, и от друга страна, да отговаря на едно от условията, свързани със законосъобразността на обработването, изброени в член 6 от този регламент(16).
20. Що се отнася по-конкретно до принципите, свързани с обработването на лични данни, Съдът по-специално уточнява, че съдържащият се в член 5, параграф 1, буква в) от ОРЗД принцип на свеждане на данните до минимум предвижда, че личните данни трябва да бъдат подходящи, свързани със и ограничени до необходимото във връзка с целите, за които се обработват, което по същество отразява принципа на пропорционалност(17). Следователно принципът на свеждане на данните до минимум цели да сведе до минимум ограниченията на правото на защита на личните данни, причинени от въпросното обработване.
21. В случая ми се струва очевидно, че евентуалната липса на каквото и да е ограничение, както предполага запитващата юрисдикция, по дефиниция би била в противоречие с прилагането на принципа за свеждане на данните до минимум. В преписката, с която е сезиран Съдът, обаче липсват доказателства, които да потвърждават или изключват подобно предположение, което във всеки случай попада в обхвата на преценката на запитващата юрисдикция. Въпреки това ще се постарая да дам на тази юрисдикция някои полезни насоки относно тълкуването на разглежданата разпоредба, които могат да ѝ позволят да се произнесе по висящото пред нея дело.
22. Що се отнася, от една страна, до ограничението във времето на обработването на лични данни, считам, че при липсата на конкретна разпоредба в това отношение в ОРЗД съдът на Съюза не може императивно да определи срок за съхраняването на тези данни. От друга страна, Съдът е постановил, че дори обработване на точни данни, което първоначално е било законосъобразно, може с времето да стане несъвместимо по-специално с член 5, параграф 1, букви в)—д) от ОРЗД, когато данните вече не са необходими за целите, за които са събирани или обработвани(18). Следователно запитващата юрисдикция следва да прецени, като вземе предвид обстоятелствата по случая и приложи принципа на пропорционалност(19), доколко срокът за съхраняване на личните данни от Meta Platforms Ireland е обоснован с оглед на легитимната цел за обработване на тези данни за целите на персонализираната реклама.
23. От друга страна, що се отнася до ограничението на обработването на лични данни в зависимост от вида на данните, запитващата юрисдикция следва също така да определи, при обстоятелствата в конкретния случай, личните данни, чието обработване може да се счита за законосъобразно, при спазване на принципа на пропорционалност.
24. Впрочем позоваванията в текста на член 5, параграф 1, буква в) от ОРЗД на твърде общи условия, като „адекватност“, „релевантност“ и „необходимост“, според мен показват, че законодателят на Съюза е възнамерявал да остави широка свобода на преценка на компетентните органи при прилагането на тази разпоредба, доколкото тези условия могат да се тълкуват само за всеки отделен случай, като се вземат предвид конкретните обстоятелства.
25. След това уточнение считам, както посочва Комисията в писменото си становище, че могат да се направят някои разграничения, в зависимост от степента на намеса на отделните форми на обработване в правата на субекта на данни. Следователно запитващата юрисдикция би могла, когато счете за уместно, от една страна, да направи разграничение между използването на „статични“ данни за субекта на данните (като възраст(20) или пол) и използването на „поведенчески“ данни (като наблюдение на навиците на потребителите за сърфиране), като последното по принцип представлява по-голямо вмешателство по отношение на правата на субекта на данни. Що се отнася по-специално до „поведенческите“ данни, би могло да се направи допълнително разграничение между събирането на данни, отнасящи се до „активно“ поведение (като натискането на бутона „Харесвам“), и събирането на данни, отнасящи се до „пасивно“ поведение (като простото посещение на уебсайт), което обикновено е по-голямо вмешателство за потребителя. От друга страна, би могло да се направи разграничение и между обработването на лични данни, събирани на платформата Facebook, и извън нея, т.е. на интернет страници, на приложения, различни от Facebook, или на устройствата на потребителите, като последното представлява по-голямо вмешателство от първото(21).
26. Според мен в рамките на този анализ е важно да се вземат предвид и разумните очаквания на субектите на данни(22).
27. От друга страна, в ситуация като съществуващата преди влизането в сила на ОРЗД, при която обработването на данните, събрани извън платформата Facebook, не се е основавало на съгласие, а по-скоро на необходимостта от обработване за изпълнението на договора съгласно член 6, параграф 1, буква б) от този регламент(23), трябва да се вземе предвид стриктното тълкуване на тази разпоредба, дадено от Съда(24). Ето защо е важно, както подчертава италианското правителство в писменото си становище, да се избегне възможността разширително тълкуване на принципа за свеждане до минимум на данните на основание член 5 от посочения регламент да позволи на администраторите да разширят категориите лични данни, считани за необходими за изпълнението на договора на основание член 6, параграф 1, буква б) от същия регламент.
28. С оглед на гореизложеното предлагам на втория преюдициален въпрос да се отговори, че член 5, параграф 1, буква в) от ОРЗД трябва да се тълкува в смисъл, че не допуска лични данни да се обработват за целите на целевата реклама без ограничение в зависимост от време или вид на данните, и че запитващата юрисдикция следва да прецени, като вземе предвид обстоятелствата по случая и приложи принципа на пропорционалност, доколко срокът за съхраняване на данните и обемът обработвани данни са обосновани с оглед на легитимната цел за обработване на тези данни за целите на персонализираната реклама.
По четвъртия преюдициален въпрос
29. С четвъртия си преюдициален въпрос запитващата юрисдикция по същество иска да се установи дали член 5, параграф 1, буква б) във връзка с член 9, параграф 2, буква д) от ОРЗД трябва да се тълкува в смисъл, че обстоятелството, че дадено лице е изразило сексуалната си ориентация в рамките на дискусионна група, позволява обработването от Meta Platforms Ireland на други данни за сексуалната му ориентация с цел да му предложи персонализирана реклама. В по-общ план запитващата юрисдикция иска да се установи какъв е обхватът на последната разпоредба и по-точно, повдига въпроса как обществеността трябва да се е сдобила с чувствителните данни на това лице, за да се приложи член 9, параграф 2 от ОРЗД.
По релевантността на преюдициалния въпрос
30. В писменото и устното си становище Meta Platforms Ireland уточнява — без останалите страни да оспорват това в съдебното заседание — че в нито един момент по време на производството пред националните съдилища не се е позовало на изключението, предвидено в член 9, параграф 2, буква д) от ОРЗД като правно основание за разглежданото обработване на данни(25).
31. В такъв случай обаче четвъртият преюдициален въпрос изглеждал очевидно ирелевантен, след като това изключение не би било приложимо в настоящото дело(26).
32. Следва обаче да се припомни, че според постоянната практика на Съда в рамките на предвиденото в член 267 ДФЕС производство, основано на ясно разделение на правомощията между националните юрисдикции и Съда, въпросите, които са свързани с тълкуването на правото на Съюза и са поставени от националния съд в нормативната и фактическа рамка, която той определя съгласно своите собствени правомощия(27) и проверката на чиято точност не е задача на Съда, се ползват с презумпция за релевантност(28).
33. Ето защо в следващите точки ще предложа отговор на четвъртия преюдициален въпрос, поставен от запитващата юрисдикция, без да се засяга решението на Съда относно релевантността на този въпрос.
По съществото на преюдициалния въпрос
34. В самото начало припомням, че съгласно член 5, параграф 1, буква б) от ОРЗД, който закрепва принципа на ограничение на целите, личните данни са събирани за конкретни, изрично указани и легитимни цели и не трябва да се обработват по-нататък по начин, несъвместим с тези цели. Съгласно член 9, параграф 1 от този регламент се забранява обработването на лични данни по-специално за сексуалния живот или сексуалната ориентация на физическото лице, освен ако такова обработване не попада в обхвата на някое от изключенията, предвидени в член 9, параграф 2 от посочения регламент(29).
35. По-конкретно, по силата на член 9, параграф 2, буква д) от ОРЗД забраната за обработване на чувствителни лични данни не се прилага, ако обработването се отнася до лични данни, които явно са направени обществено достояние от субекта на данните. Както посочих в заключението си по дело Meta Platforms и др. (Общи условия за използване на социална мрежа)(30), употребата в текста на тази разпоредба на наречието „явно“ и фактът, че посочената разпоредба представлява изключение от принципа на обща забрана на обработването на чувствителни лични данни, налагат това изключение да се прилага особено стриктно поради значителните рискове за основните права и свободи на субектите на данни(31). За да може да се приложи това изключение, ползвателят според мен трябва да има пълното съзнание, че с изричен акт прави лични данни, отнасящи се до него, достъпни за всеки(32).
36. В главното производство чувствителните данни, свързани със сексуалната ориентация на ищеца, са били разпространени извън платформата на Facebook („извън сайта“) и всяка друга платформа или компютърно приложение, в рамките на дискусионна група, организирана от Комисията(33), с цел да се обяви обработването от Meta Platforms Ireland на данни за тази сексуална ориентация, за което се твърди, че е незаконосъобразно(34).
37. В това отношение Съдът е имал вече повод да се произнесе по използването на данни „извън сайта“, в контекста на други платформи, в решението Meta Platforms и др. (Общи условия за използване на социална мрежа)(35). По този повод Съдът постановява, че член 9, параграф 2, буква д) от ОРЗД трябва да се тълкува в смисъл, че когато ползвател на социална онлайн мрежа посещава уебсайтове или приложения, свързани с една или повече от упоменатите в член 9, параграф 1 от ОРЗД категории данни, той не прави явно обществено достояние по смисъла на първата от тези разпоредби данните за това посещаване, събрани от оператора на тази социална онлайн мрежа чрез „бисквитки“ или подобни технологии за записване, и че когато въвежда данни в такива уебсайтове или приложения или натиска вградени в тези сайтове или приложения бутони, като бутоните „Харесвам“ или „Споделяне“, или бутоните, които позволяват на ползвателя да се идентифицира на тези сайтове или приложения, като използва идентификаторите за връзка, свързани с потребителския му акаунт в социалната мрежа, телефонния му номер или имейла му, такъв ползвател явно прави обществено достояние по смисъла на член 9, параграф 2, буква д) от ОРЗД така въведените данни или данните, резултат от натискането на тези бутони, само в случай че изрично е изразил предварително решението си, евентуално след напълно информирано извършване на индивидуални настройки, да направи свързаните с него данни публично достъпни за неограничен брой лица(36)
38. Запитващата юрисдикция обаче счита за необходимо да продължи да поддържа четвъртия си преюдициален въпрос, с мотива, че действията, разгледани от Съда по последното дело, са свързани с посещаването на уебсайтове или приложения, както и с натискането на вградени в тях бутони, докато в случая става въпрос за направено от субекта на данни изявление относно неговата сексуална ориентация, по повод групова дискусия. В това отношение посочената юрисдикция счита, че от такова изявление не може да се направи извод за съгласие по смисъла на член 9, параграф 2, буква д) от ОРЗД.
39. В това отношение считам за уместно да се направи разграничение между, от една страна, преюдициалния въпрос дали изявлението на ищеца за неговата сексуална ориентация представлява действие, с което той явно прави обществено достояние тази сексуална ориентация по смисъла на член 9, параграф 2, буква д) от ОРЗД, и от друга страна, при утвърдителен отговор на този въпрос, въпроса дали фактът, че явно е направил обществено достояние сексуалната си ориентация, позволява обработването на данни относно тази сексуална ориентация за целите на персонализираната реклама по смисъла по-специално на членове 5 и 6 от този регламент.
40. Що се отнася, на първо място, до квалификацията, която следва да получи изявлението на ищеца по смисъла на член 9, параграф 2, буква а) от ОРЗД, при липсата на полезни указания, които биха могли да произтекат от генезиса на тази разпоредба и прилагането ѝ в съдебната практика(37), отбелязвам, че изключението по член 9, параграф 2, буква д) от този регламент по същество изисква да са изпълнени две кумулативни условия, а именно, от една страна, „обективно“ условие, че въпросните лични данни трябва да са „явно направени обществено достояние“, и от друга страна, „субективно“ условие, че „субектът на данните“ е този, който трябва да направи тези данни обществено достояние.
41. В главното производство, освен ако запитващата юрисдикция не установи друго, ми се струва, че тези две условия са изпълнени. Всъщност, макар да е инцидентно разпространено в рамките на по-широка и критична по отношение на обработването на чувствителни данни от страна на Meta Platforms Ireland реч, считам, че направеното от ищеца изявление представлява действие, с което той напълно съзнателно явно прави обществено достояние сексуалната си ориентация.
42. Що се отнася до първото условие, струва ми се твърде вероятно — предвид открития характер на груповата дискусия, която е била излъчена на живо, а след това препредадена отново в streaming(38), както и интереса на обществеността към обсъжданата на нея тема — изявлението на ищеца да е успяло да достигне неопределена публика, доста по-многобройна от тази, намираща се в залата(39).
43. Що се отнася до второто условие, напълно възможно е според мен да се предположи, че като е споменал открито сексуалната си ориентация при обстоятелствата в конкретния случай (по-специално, в рамките на открито и достъпно за пресата събитие), ищецът е имал ако не намерение, то поне пълното съзнание „явно“ да направи тази ориентация „обществено достояние“ по смисъла на съдебната практика, цитирана в точка 35 от настоящото заключение(40).
44. Впрочем според мен целта на предоставената с член 9, параграф 1 от ОРЗД защита е да се предотврати излагането на субекта на данни на неблагоприятни последици (като например публично опозоряване или дискриминационни действия), произтичащи по-специално от негативно от социална или икономическа гледна точка възприемане на изброените в него случаи(41). Следователно тази разпоредба предвижда специална защита на тези лични данни чрез принципна неабсолютна забрана, чието прилагане в конкретния случай подлежи на преценка от субекта на данни, който най-добре може да прецени неблагоприятните последици, които биха могли да произтекат от разпространението на въпросните данни, и който може евентуално да се откаже от тази защита или да не се позове на нея напълно съзнателно, като явно направи обществено достояние по смисъла на член 9, параграф 2, буква д) от този регламент своето положение, и по-специално сексуалната си ориентация.
45. Що се отнася, на второ място, до анализа на последиците, произтичащи от обстоятелството, че явно е направил обществено достояние сексуалната си ориентация, по отношение на обработването на тези чувствителни данни от Meta Platforms Ireland по смисъла на членове 5 и 6 от ОРЗД, считам, че фактът, че някои данни явно са направени обществено достояние по смисъла на член 9, параграф 2, буква д) от този регламент, сам по себе си не позволява да се извърши обработване на тези данни по смисъла на посочения регламент.
46. Всъщност прилагането на последната разпоредба просто води до премахване на „специалната защита“, предоставена на някои особено чувствителни лични данни. След като тази защита съзнателно е отхвърлена от самия субект на данните (който явно ги е направил обществено достояние), тези първоначално „защитени“ лични данни се превръщат в „обикновени“ (т.е. нечувствителни) данни, които, подобно на всички други лични данни, могат да бъдат законосъобразно обработвани само при условията, предвидени по-специално в членове 6 и 7 от ОРЗД, и при спазване на принципите, залегнали по-специално в член 5 от този регламент(42), включително на принципа на ограничение на целите, установен в член 5, параграф 1, буква б) от посочения регламент, който изисква личните данни да са събирани за конкретни, изрично указани и легитимни цели, което администраторът следва да докаже по силата на параграф 2 от въпросната разпоредба(43).
47. Следователно фактът, че ищецът е изразил сексуалната си ориентация в рамките на дискусионна група, въпреки че това може да доведе до заключението, че при обстоятелствата в случая това лице „явно е направило обществено достояние“ тези данни по смисъла на член 9, параграф 2, буква д) от ОРЗД, сам по себе си не може да обоснове обработването на лични данни, разкриващи сексуалната ориентация на това лице(44).
48. С оглед на гореизложеното предлагам на четвъртия преюдициален въпрос да се отговори, че член 5, параграф 1, буква б) във връзка с член 9, параграф 2, буква д) от ОРЗД трябва да се тълкува в смисъл, че изразяване на собствената сексуална ориентация за целите на дискусионна група, отворена за обществеността, макар да може да представлява действие, с което заинтересованото лице „явно е направило обществено достояние“ тези данни по смисъла на член 9, параграф 2, буква д) от този регламент, само по себе си не позволява обработването на посочените данни или на други данни за сексуалната ориентация на това лице с оглед на събирането и анализирането на данни за целите на персонализираната реклама.
Заключение
49. С оглед на изложените по-горе съображения предлагам на Съда да отговори на втория и четвъртия преюдициален въпрос, отправени от Oberster Gerichtshof (Върховен съд, Австрия), по следния начин:
1) Член 5, параграф 1, буква в) от Регламент (ЕС) 2016/679 на Европейския парламент и на Съвета от 27 април 2016 година относно защитата на физическите лица във връзка с обработването на лични данни и относно свободното движение на такива данни и за отмяна на Директива 95/46/ЕО (Общ регламент относно защитата на данните)
трябва да се тълкува в смисъл, че:
– не допуска лични данни да се обработват за целите на целевата реклама без ограничение в зависимост от време или вид на данните, и
– запитващата юрисдикция следва да прецени, като вземе предвид обстоятелствата по случая и приложи принципа на пропорционалност, доколко срокът за съхраняване на данните и обемът обработвани данни са обосновани с оглед на легитимната цел за обработване на тези данни за целите на персонализираната реклама.
2) Член 5, параграф 1, буква б) във връзка с член 9, параграф 2, буква д) от Регламент 2016/679
трябва да се тълкува в смисъл, че
– изразяване на собствената сексуална ориентация за целите на дискусионна група, отворена за обществеността, макар да може да представлява действие, с което заинтересованото лице „явно е направило обществено достояние“ тези данни по смисъла на член 9, параграф 2, буква д) от този регламент, само по себе си не позволява обработването на посочените данни или на други данни за сексуалната ориентация на това лице с оглед на събирането и анализирането на данни за целите на персонализираната реклама.